زرعة في Ledger تكشف عبارات الاسترداد في هجوم على سلسلة التوريد

شدّدت Ledger قواعدها الخاصة ببائعي التجزئة بعد تأكيدها أن بعض محافظ الأجهزة الأصلية التي باعها الموزّع CryptoBilis في جنوب شرق آسيا كانت تحتوي على زرعة عتادية غير مصرّح بها. أثناء الإعداد، كانت الزرعة تلتقط عبارات الاسترداد المؤلفة من 24 كلمة من شاشة الجهاز وترسلها عبر شبكة الهاتف المحمول. ولم تخترق عنصر الأمان Secure Element أو نظام التشغيل أو عملية توقيع المعاملات لدى Ledger، لذلك ظلّت الأجهزة المتأثرة قادرة على اجتياز فحوص الأصالة. تقول Ledger إن جميع الخسائر المؤكدة تتعلق بأجهزة CryptoBilis، وإنها لم تعثر على أي دليل على العبث في قناة البيع المباشر التابعة لها. ويقدّر باحثون على السلسلة أن أكثر من 300 محفظة خسرت ما بين 86 و93 مليون دولار، لكن Ledger لم تتحقق من هذه الأرقام ولم تؤكد إجمالي خسائر العملاء. وأفادت تقارير بأن Tether جمّدت نحو 10 ملايين دولار من USDT. وبعد أن أبلغ أحد العملاء عن وجود زرعة في ألمانيا، أوقف متجر MediaMarkt Saturn مبيعات Ledger مؤقتًا؛ وتقول Ledger إن فحص المخزون الألماني وعينات المستودعات لم يكشف عن أي عبث إضافي. في 15 أكتوبر 2026، طلبت Ledger من متاجر التجزئة المعتمدة إبقاء الأجهزة الجديدة بعيدًا عن العرض العام، والتوقف عن إعادة بيع المحافظ المرتجعة، وتعليق المبيعات في إندونيسيا وسنغافورة وتايلاند والفلبين وفيتنام وماليزيا وهونغ كونغ. وكانت CryptoBilis قد تلقت أمرًا بوقف المبيعات والشحنات في 9 أكتوبر. على من قاموا بتهيئة جهاز CryptoBilis اعتبار عبارة الاسترداد الخاصة بهم مكشوفة، ونقل أصولهم إلى محفظة جديدة بعبارة استرداد جديدة. أما من لم يهيئوا الجهاز فعليهم تركه من دون استخدام والتواصل مع دعم Ledger. وتسلّط زرعة Ledger الضوء على مخاطر سلسلة توريد محافظ الأجهزة؛ إذ يمكن لاستخدام التوقيع المتعدد مع أجهزة من شركات مصنّعة مختلفة أن يقلل الاعتماد على جهاز واحد، لكنه لا يلغي المخاطر الأمنية.